如何确认adminCreateUser创建的AWS Cognito用户并触发Post Confirmation Lambda

• adminConfirmSignUp这个接口天生就不是给管理员创建的用户用的。它的设计校验逻辑是：只允许状态为UNCONFIRMED的自助注册用户走确认流程，只要用户是管理员通过adminCreateUser创建的，初始状态就是FORCE_CHANGE_PASSWORD，调这个接口一定会抛出你遇到的NotAuthorizedException，没有任何参数调整能绕开这个校验。
• 为啥之前用adminSetUserPassword不触发Post Confirmation Lambda？这个接口是Cognito给后台直改用户数据用的，完全绕过整套认证流程，只会直接更新用户的密码字段和状态标记，不会触发状态流转过程中的任何Lambda。而且adminCreateUser建出来的用户从一开始就不是UNCONFIRMED状态，直接改密码的过程根本没走「用户确认」的流程节点，自然不会触发Post Confirmation。
• Post Confirmation Lambda的触发逻辑很明确：只要用户最终正常流转到CONFIRMED状态就会触发。针对管理员创建的FORCE_CHANGE_PASSWORD状态用户，官方规定的触发节点就是用户完成首次强制改密的时刻——重点是“完成改密的认证流程”，不是后台直接改密码的动作。

没必要硬掰着要用adminConfirmSignUp，只需要走完Cognito设计的管理员创建用户后的首次认证流程，后台就能自动完成所有状态流转，100%触发Post Confirmation Lambda，全程不需要用户手动操作：

1. 先正常调用adminCreateUser拿到返回的UUID格式Username，以及你设置的临时密码
2. 调用adminInitiateAuth接口，用临时密码发起认证，拿到系统返回的NEW_PASSWORD_REQUIRED改密挑战
3. 调用adminRespondToAuthChallenge接口，提交你要给用户设置的永久密码完成挑战，走完这步用户状态会自动从FORCE_CHANGE_PASSWORD变成CONFIRMED，Post Confirmation Lambda会被自动触发

注意：需要在Cognito对应的App Client设置里，开启「Enable admin password auth (ALLOW_ADMIN_USER_PASSWORD_AUTH)」选项，否则调用认证接口会报权限错误。

对应代码实现 #

// 复用你之前初始化好的Cognito实例
const cognitoidentityserviceprovider = new AWS.CognitoIdentityServiceProvider({
  apiVersion: "2016-04-19",
  region: "us-east-1"
});
const USER_POOL_ID = "my-cognito-user-pool-id"
// 替换成你在用户池下创建的App Client ID，不能填用户池ID
const APP_CLIENT_ID = "你的应用客户端ID"
// adminCreateUser返回的用户UUID
const createdUsername = 'e9c137e4-6482-4bf5-9fb9-03f764dd0b4b'
// adminCreateUser时设置的临时密码
const tempPassword = 'Test123456'
// 要给用户设置的永久密码
const permanentPassword = 'New-password'

// 第一步：用临时密码发起管理员认证
const initAuthParams = {
  AuthFlow: "ADMIN_NO_SRP_AUTH",
  ClientId: APP_CLIENT_ID,
  UserPoolId: USER_POOL_ID,
  AuthParameters: {
    USERNAME: createdUsername,
    PASSWORD: tempPassword
  }
}

cognitoidentityserviceprovider.adminInitiateAuth(initAuthParams, (initErr, initRes) => {
  if (initErr) {
    console.log("认证发起失败", initErr)
    return
  }
  // 管理员创建的用户首次认证一定返回NEW_PASSWORD_REQUIRED挑战
  if (initRes.ChallengeName !== "NEW_PASSWORD_REQUIRED") {
    console.log("非预期的挑战类型", initRes.ChallengeName)
    return
  }

  // 第二步：响应改密挑战
  const challengeParams = {
    UserPoolId: USER_POOL_ID,
    ClientId: APP_CLIENT_ID,
    ChallengeName: "NEW_PASSWORD_REQUIRED",
    ChallengeResponses: {
      USERNAME: createdUsername,
      NEW_PASSWORD: permanentPassword
    },
    // 必须带上上一步返回的会话值，否则挑战校验失败
    Session: initRes.Session
  }

  cognitoidentityserviceprovider.adminRespondToAuthChallenge(challengeParams, (challengeErr, challengeRes) => {
    if (challengeErr) {
      console.log("挑战响应失败", challengeErr)
      return
    }
    // 走到这里时用户已经完成确认，Post Confirmation Lambda已经触发执行
    console.log("用户确认流程完成，触发器执行结束", challengeRes)
  })
})

如果你一定要走adminConfirmSignUp的确认流程，根本没法用adminCreateUser建用户——因为adminCreateUser作为管理员侧的创建接口，生成的用户初始状态天生就是FORCE_CHANGE_PASSWORD，永远不会进入UNCONFIRMED状态，所有对这类用户调用adminConfirmSignUp的尝试都会报那个状态不匹配的错。要走adminConfirmSignUp的流程，必须用公共的signUp接口创建用户，让用户初始状态为UNCONFIRMED，才能正常调用adminConfirmSignUp完成确认。

内容的提问来源于stack exchange，提问作者alphanumeric